アプリケーションプロトコルの弱点

質問

今、私の通っている学校で、ネットワークセキュリティの研究をしているのですが........。アプリケーションプロトコルってありますよね？（HTTPとかTELNETとか...)それらのプロトコルってそれぞれどういうセキュリティ上の問題点があるのでしょうか？？どんなちいさなことでもいいので知ってる人は教えてください。

回答No.1

kawabata · ベストアンサー

プロトコル上の問題としては、
たとえば、

HTTP/TELNET は、クライアントとサーバーで
やりとりする情報がすべて、そのままネットワーク上を
ながれます。
もちろん、ユーザー名やパスワードもほとんど
そのままです。
ということは、ネットワーク上の通信の内容を
みるツールを利用すると、簡単に覗き見て、
悪用することができます。

通信するときに、クライアントとサーバーが
本当に、通信したい相手であるか確認できる方法も
必要になります。
たとえば、うそのサーバーを立てて、クライアントを
誘導できれば、パスワードやクレジットカード番号などを
入力させて、悪用することもできます。

あるいは、クライアントまたは、サーバーに、
偽のデータを送りつけて、そのマシンを壊したり、
あるいは、のっとることもできます。

参考に、IPA のセキュリティサイトをあげておきます

参考URL：

http://www.ipa.go.jp/security/

お礼

どうもありがとうございます。おかげで、研究をしていく上で、非常に参考になりました。また、わからないことがあるときには、このサイトに載せたいと思いますのでまたよろしくおねがいします。

回答No.2

Duck_

kawabata様の仰るとおりだと思います。
>ネットワークセキュリティの研究をしているの
>ですが........。
との事なので、補足させて頂きます。
かなり実践的なことになってしますため、
役に立つかどうか分かりませんが、
参考になればと思います。

ftp・telnet・http・pop_etc古くから使われている
プロトコルに関しては、多くで以下の問題点があります。

１　ネットワーク上で通信内容を平文で流している
２　各プロトコル特異的なportを開けて通信している
　　＝特定のポートが狙われやすい
３　多くがTCP/IPを利用するので、設定によっては
　　それでつながる全世界どこからもアクセス可能
　　となる。

４　サービスを行っているユーザーによってはこれが
　　セキュリティーホールとなりうる

大きく分けるとそんなような、欠点があります。

そこで、最近では、それを以下に暗号化しようと、
大きくＳＳＬ、SSHと言ったような
プロトコルが導入されています。
他、apopのようにワンタイムパスワードの利用
と言ったことも使われています。

httpでは多くのサイトでapache+sslもしくはmod_ssl
ssllayと言ったパッチは当てられ、重要な通信は、
それらSSLプロトコルを通して行われていますし、
telnetは使われずsshを使うとか、ssl_telnetを使う
と言った工夫がなされています。

popに関しては、apopというワンタイムパスワード
を利用したサービスが使われつつあります。
（例：AT&?と言う名のプロバイダ)
ほかpop3sとかimapsとかも有ります。

smtpに関してははspam対策が施されています。
（local側からしか受け付けないとか、
pop_before_smtpの利用とか)
そして何よりも、PORT:25絶対固定なので、
とっても狙われ易いです。
また、sendmail.cfがマニアックなのと（これも欠点)
root権限で動いている、と言う点などは最大の
欠点となっています。

ほか、r**のつくサービスは通信が、ほとんどが
平文で、システムのセキュリリティー上危険な
サービスも含まれるので、最近は使われないケースが
多いです。
動かしたいサービスに関しては、
portforwardを行って、隠すケースも
多くなっています。

かなり脱線していると思いますが、
自分は、ヤバイものは避けると言った主義なので、
暗号化に走ってしまってます。
そして何よりも、出来る限りPORTFORWARDに走ってます。
そんなわけで、
セキュリティ上のバグについては、よく分かってません。
しかも回答の的が外れていると思います。
ということで、あくまでも参考にデモして
いただければ幸いです。

最後に、最近話題になっているDDOS攻撃に関しては、
それらバグや隠れたセキュリティーホールを狙った
ものが多いため、それらに関しては、それらサービス
のパッケージの配布サイト、すなわちAPACHE.ORGとかSENDMAIL.ORGと言ったサイトのドキュメントを参照
されるほうが最新の情報が得られると思います。

長々となりましたが参考になったら幸いです。
御健闘くださいではであ。

お礼

どうもありがとうございます。おかげで、研究をしていく上で、非常に参考になりました。また、わからないことがあるときには、このサイトに載せたいと思いますのでまたよろしくおねがいします。